Perplexity udostępnia Bumblebee jako open source

Dziś udostępniamy jako oprogramowanie typu open source jedno z wewnętrznych narzędzi, których używamy do ochrony systemów programistycznych wspierających Perplexity, Comet i Computer.

Szybki rozwój sztucznej inteligencji wprowadził nową złożoność do krajobrazu bezpieczeństwa, przy czym luki w zabezpieczeniach są odkrywane każdego dnia.

Ostatnie zagrożenia coraz częściej dotyczą pakietów oprogramowania, narzędzi programistycznych oraz środowisk lokalnych, na których polegają nowoczesne zespoły inżynieryjne, takie jak Perplexity. Z tego względu integralność naszych produktów musi być zapewniona na znacznie wcześniejszym etapie łańcucha dostaw niż sama produkcja.

Dziś udostępniamy jako oprogramowanie typu open source jedno z wewnętrznych narzędzi, których używamy do ochrony systemów programistycznych wspierających Perplexity, Comet i Computer.

Przedstawiamy Bumblebee

Bumblebee to skaner działający w trybie tylko do odczytu, którego używamy do sprawdzania maszyn programistów pod kątem ryzykownych pakietów, rozszerzeń i konfiguracji narzędzi AI w trakcie incydentów w łańcuchu dostaw.

Bumblebee jest użyteczny dla wszystkich zespołów ds. bezpieczeństwa. Gdy tylko pojawi się zgłoszenie nowej luki w zabezpieczeniach, muszą one natychmiast wiedzieć, czy któraś z ich maszyn była narażona.

Zwiększanie bezpieczeństwa produktów Perplexity dla użytkowników zaczyna się od ochrony systemów programistycznych, za pomocą których je tworzymy. Bumblebee stanowi jeden z komponentów naszego szerszego przepływu pracy w zakresie bezpieczeństwa, w którym Perplexity Computer pomaga śledzić pojawiające się zagrożenia, ludzie weryfikują aktualizacje katalogu, a Bumblebee sprawdza, czy narażone komponenty pojawiają się w punktach końcowych programistów.

Dziś udostępniamy Bumblebee jako oprogramowanie open source, aby każdy zespół mógł budować w oparciu o tę samą warstwę bezpieczeństwa.

Od sygnału o zagrożeniu do skanowania punktu końcowego

Organizacje inżynieryjne mogą teraz uruchamiać Bumblebee przy użyciu własnych katalogów i procesów weryfikacji. Oto jak używamy Bumblebee wewnętrznie:

Sygnał o zagrożeniu jest identyfikowany poprzez publiczne ujawnienia, kanały informacyjne stron trzecich lub badania wewnętrzne.

Perplexity Computer przygotowuje aktualizację katalogu. Wprowadza sygnał do ustrukturyzowanego wpisu (ekosystem, nazwa, wersja), a następnie otwiera zgłoszenie typu Pull Request w serwisie GitHub z linkami do źródła.

Następnie odbywa się weryfikacja przez człowieka, po której następuje scalenie (merge) zgłoszenia.

Bumblebee działa na punktach końcowych z zaktualizowanym katalogiem.

Wyniki są udostępniane zespołowi ds. bezpieczeństwa.

Bumblebee obsługuje trzy profile skanowania, które określają, gdzie i jak szeroko ma być prowadzone wyszukiwanie:

Profil podstawowy (Baseline): Rutynowe skanowanie standardowych lokalizacji na laptopie. Zespoły planują je za pomocą własnych narzędzi MDM lub narzędzi do zarządzania flotą.

Profil projektowy (Project): Ukierunkowane skanowanie określonych repozytoriów lub obszarów roboczych.

Profil głęboki (Deep): Skanowanie reagujące w przypadku aktywnych incydentów.

Każde wykrycie jest identyfikowalne; wskazuje, który wpis w katalogu wywołał zgłoszenie, kiedy został dodany oraz wszelkie dowody.

Bezpieczeństwo zaczyna się na poziomie lokalnego środowiska programisty

Skanery SBOM i podatności obsługują repozytoria oraz artefakty kompilacji. Produkty do inwentaryzacji punktów końcowych obejmują zainstalowane aplikacje. Bumblebee działa na laptopie programisty. Informuje, czy na maszynie zainstalowany jest konkretny pakiet, wersja, rozszerzenie lub konfiguracja MCP w momencie pojawienia się ostrzeżenia dotyczącego łańcucha dostaw.

Co weryfikuje Bumblebee

Istniejące narzędzia open source zazwyczaj obejmują jeden lub dwa z tych obszarów. Bumblebee obejmuje wszystkie cztery:

Menedżery pakietów językowych: npm, pnpm, Yarn, Bun, PyPI, moduły Go, RubyGems, Composer

Konfiguracje agentów AI: MCP

Rozszerzenia edytora: Rodzina VS Code (VS Code, Cursor, Windsurf, VSCodium)

Rozszerzenia przeglądarki: Rodzina Chromium (Chrome, Comet, Edge, Brave, Arc) oraz Firefox

Bezpieczna ocena narażenia

Bumblebee działa w trybie tylko do odczytu. Odczytuje pliki metadanych bezpośrednio i nigdy nie zezwala na uruchomienie potencjalnie zainfekowanych narzędzi, co zapobiega sytuacji, w której skanowanie staje się źródłem ryzyka. Dzięki pracy w trybie tylko do odczytu Bumblebee pomaga uniknąć problemów z wykonywaniem kodu w czasie instalacji.

Pakiety npm mogą zawierać skrypty postinstall, które uruchamiają się automatycznie w momencie ich instalacji za pomocą polecenia npm install. W ten sposób rozprzestrzeniały się ostatnie robaki w łańcuchu dostaw. Skaner, który wywołuje npm w celu sprawdzenia narażenia, już wywołał atak, którego szukał. Bumblebee zapobiega temu, unikając:

Wykonywania kodu: nigdy nie uruchamia skryptów instalacyjnych ani hooków cyklu życia.

Wywoływania menedżerów pakietów: nigdy nie uruchamia npm, pnpm, bun ani pip.

Czytania plików źródłowych: nigdy nie odczytuje plików źródłowych aplikacji; odczytuje metadane, takie jak pliki blokad (lockfiles), manifesty i metadane zainstalowanych pakietów.

Monitorowania procesów lub sieci: Bumblebee nie jest systemem EDR.

Bumblebee jest już dostępny jako projekt Go typu open source dla punktów końcowych programistów z systemami macOS i Linux. Zespoły ds. bezpieczeństwa mogą go pobrać, uruchomić w odniesieniu do własnego katalogu niebezpiecznych wersji i przekazać wyniki do używanego przez siebie przepływu pracy w zakresie reagowania.